🇰🇷 한글 설명
Jellyfin 10.11.10 미만 버전에서 발생하는 취약점으로, 조작된 파일명 태그가 포함된 MKV 파일을 재생할 때 경로 검증 미흡으로 인해 발생합니다. 공격자는 이를 이용해 MKV 첨부 파일 추출 경로를 디스크 상의 임의의 절대 경로로 변경할 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 동영상 파일을 재생하면, 프로그램이 파일을 저장하는 위치를 해커가 원하는 컴퓨터 내부의 다른 폴더로 바꿀 수 있는 보안 약점입니다. 이로 인해 시스템의 중요한 파일이 덮어씌워지거나 손상될 위험이 있습니다.
🇺🇸 원문 (English)
Jellyfin is an open source self hosted media server. Prior to 10.11.10, a specifically crafted MKV file containing forged filename tags can be leveraged to exploit missing path sanitization during playback. Jellyfin treats the MKV file name tag on MKV attachments as trusted and passes it unsanitized into Path.Combine(attachmentFolder, fileName) inside PathManager.GetAttachmentPath. Because .NET's Path.Combine neither normalises .. nor rejects a rooted second argument, a crafted MKV can redirect Jellyfin's MKV attachment extraction to any absolute path on disk. This triggers on any playback action of the affected video on a client which will attempt to burn in the subtitles by default.g This vulnerability is fixed in 10.11.10.
📍 영향받는 시스템
Jellyfin 10.11.10 미만 모든 버전
⚔️ 공격 벡터
조작된 파일명 태그가 포함된 MKV 파일을 서버에 업로드한 후 재생 시도
🛡️ 대응 방법
Jellyfin을 최신 버전인 10.11.10 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.11.10보다 낮은지 확인하십시오.
jellyfin --version 2>/dev/null || jellyfin -v 2>/dev/null || echo 'Check installed Jellyfin version'